Alertas localrelay

[geleiap]

Boa tarde pessoal,

Desde ontem a tarde estou recebendo esses alertas.
Não entendi bem por isso estou recorrendo a vocês.
Me parece ser algum tipo de spam enviado do VPS, por esse usuário é isso?  Percebi que a fila de e-mails da VPS esta alta.

Como posso resolver esse problema? 

Grato.

______________________________________

Time:  Thu Mar 22 12:40:02 2018 -0300
Type:  LOCALRELAY, Local Account - usuariocom
Count: 101 emails relayed
Blocked: No

Sample of the first 10 emails:

2018-03-22 12:33:37 1ez2Dh-0004IC-Rd <= [email protected] U=usuariocom P=local S=1507 id=[email protected] T="What does your girl tell about your potentiality?" for [email protected]
2018-03-22 12:33:38 1ez2Dh-0004IJ-Ui <= [email protected] U=usuariocom P=local S=1510 id=[email protected] T="How long have you broken off relations with your girlfriend?" for [email protected]
2018-03-22 12:33:38 1ez2Di-0004IR-1O <= [email protected] U=usuariocom P=local S=1486 id=[email protected] T="How long have you broken off relations with your girlfriend?" for [email protected]
2018-03-22 12:33:38 1ez2Di-0004IW-4q <= [email protected] U=usuariocom P=local S=1504 id=[email protected] T="How long have you broken off relations with your girlfriend?" for [email protected]
2018-03-22 12:33:38 1ez2Di-0004Ic-81 <=

 

[msaulohenrique]

Sim é prática de spam, veja se ele usa algum arquivo que envia, ou Scripts nulleds, vc pode fazer bloqueio de ip e usar módulos no whm para controla entrada e saída.

[geleiap]

26 minutos atrás, msaulohenrique disse:

Sim é prática de spam, veja se ele usa algum arquivo que envia, ou Scripts nulleds, vc pode fazer bloqueio de ip e usar módulos no whm para controla entrada e saída.

Caso eu não consiga encontrar esse script como faço para controlar saída de emails apenas do usuário que está com problemas? Fico grato se puder ajudar. 

Grato tbm por essa ajuda. Agora ao menos sei oq procurar. :)

[NullRoute]

1 hora atrás, geleiap disse:

Caso eu não consiga encontrar esse script como faço para controlar saída de emails apenas do usuário que está com problemas? Fico grato se puder ajudar. 

Grato tbm por essa ajuda. Agora ao menos sei oq procurar. :)

Roda esse comando:

grep cwd /var/log/exim_mainlog | grep -v /var/spool | awk -F"cwd=" '{print $2}' | awk '{print $1}' | sort | uniq -c | sort -n

Ele vai listar os paths com mais volume de e-mail, com isso faça um filtro e veja se há um script fazendo o envio.
Em paralelo, pegue alguma das mensagens que está no Mail Queue, abra e veja o cabeçalho...lá mostrará se são e-mails autenticados (a conta será exibida) e/ou se é via função mail() do php.

 

 

[geleiap]

1 hora atrás, owsbr disse:

Roda esse comando:

grep cwd /var/log/exim_mainlog | grep -v /var/spool | awk -F"cwd=" '{print $2}' | awk '{print $1}' | sort | uniq -c | sort -n

Ele vai listar os paths com mais volume de e-mail, com isso faça um filtro e veja se há um script fazendo o envio.
Em paralelo, pegue alguma das mensagens que está no Mail Queue, abra e veja o cabeçalho...lá mostrará se são e-mails autenticados (a conta será exibida) e/ou se é via função mail() do php.

 

 

Existe algum caminho mais fácil? Pois não tenho total acesso ao VPS. Apenas via WHM.

Grato.

[NullRoute]

2 minutos atrás, geleiap disse:

Existe algum caminho mais fácil? Pois não tenho total acesso ao VPS. Apenas via WHM.

Grato.

Vish maria...ai lascou...
Seu WHM é apenas como revendedor? Se sim acione o admin do servidor para verificar via shell para ti.

 

[geleiap]

2 horas atrás, owsbr disse:

Vish maria...ai lascou...
Seu WHM é apenas como revendedor? Se sim acione o admin do servidor para verificar via shell para ti.

 

Não é de revendedor. Creio que seja de administrativo. 

[msaulohenrique]

14 horas atrás, geleiap disse:

Não é de revendedor. Creio que seja de administrativo. 

São dois acessos apenas, root e revendedor.

[geleiap]

6 minutos atrás, msaulohenrique disse:

São dois acessos apenas, root e revendedor.

O meu acesso é root.

[msaulohenrique]

19 minutos atrás, geleiap disse:

O meu acesso é root.

Pois use um cliente ssh e rode o comando que o amigo @owsbr citou.